Pesan phishing sering meniru bank, toko, layanan kerja, atau orang yang dikenal. Isinya dapat meminta penerima membuka tautan, mengunduh lampiran, atau memberikan kode masuk dengan alasan akun akan ditutup.
Tidak ada satu tanda yang selalu membuktikan pesan palsu. Pesan yang rapi bisa tetap berbahaya, sedangkan kesalahan ejaan saja bukan bukti pasti. Artikel ini memberi alur pemeriksaan yang membantu pembaca menahan tindakan sampai permintaan dapat dikonfirmasi.
Baca permintaan, bukan hanya nama pengirim
Perhatikan apa yang diminta: apakah pengirim meminta kata sandi, kode verifikasi, pembayaran, atau tindakan segera? CISA mencatat bahasa mendesak atau emosional, permintaan data pribadi dan keuangan, tautan pendek yang tidak tepercaya, serta alamat yang salah eja sebagai tanda yang patut diperiksa.
Jangan menekan tautan hanya untuk mengetahui ke mana arahnya jika perangkat atau klien email membuka tautan otomatis. Periksa alamat pengirim dan domain dengan teliti. Nama tampilan dapat dibuat menyerupai organisasi, sedangkan alamat sebenarnya berbeda.
Ejaan sempurna bukan jaminan aman
CISA mengingatkan bahwa tata bahasa dan ejaan yang rapi tidak lagi cukup untuk menyingkirkan kecurigaan, termasuk ketika penyerang memakai alat AI. Karena itu, nilai konteks, tujuan, alamat, dan cara permintaan disampaikan. Jangan menjadikan satu ciri sebagai satu-satunya dasar keputusan.
Jika pesan mengaku dari rekan kerja tetapi meminta data yang tidak biasa, hubungi orang tersebut melalui nomor, aplikasi, atau alamat yang sudah pernah digunakan. Jangan menjawab langsung pada pesan yang sedang diperiksa.
Konfirmasi melalui jalur yang diketahui
Buka aplikasi atau situs dengan mengetik alamat yang sudah dikenal atau memakai bookmark yang dibuat sendiri. Periksa apakah ada pemberitahuan yang sama di dalam akun. Untuk urusan organisasi, gunakan direktori internal atau prosedur resmi.
Jangan memakai nomor telepon di dalam pesan mencurigakan sebagai satu-satunya cara verifikasi. Nomor tersebut bisa dikendalikan pengirim. Cari informasi kontak dari sumber independen yang sudah dipercaya.
Jangan bagikan kode verifikasi
Kode sekali pakai dan kode cadangan membuktikan bahwa orang yang memasukkannya menguasai metode masuk tertentu. Jika seseorang meminta kode melalui telepon, chat, atau email, hentikan percakapan dan buka situs resmi layanan secara langsung. Jangan mengirim kode kepada pihak yang mengaku membantu mengamankan akun.
Jika sudah menekan tautan atau memasukkan kredensial, buka halaman resmi dari alamat yang diketahui, ubah kata sandi yang terdampak, tinjau sesi dan perangkat, lalu laporkan kejadian melalui saluran organisasi atau layanan tersebut. Jangan gunakan kembali kata sandi lama di akun lain.
Laporkan dan hapus pesan
Gunakan fitur pelaporan phishing atau spam pada aplikasi email dan jejaring sosial. CISA menyarankan melaporkan pesan melalui opsi yang disediakan layanan, kemudian menghapusnya tanpa membalas atau membuka lampiran. Jika pesan berkaitan dengan kantor, ikuti jalur pelaporan insiden internal.
Simpan informasi yang diperlukan untuk pelaporan sesuai prosedur organisasi, tetapi jangan meneruskan lampiran berbahaya ke rekan lain. Bila perlu menunjukkan pesan, gunakan fungsi pelaporan yang menyertakan detail teknis, bukan mengirim ulang tautan berbahaya tanpa peringatan.
Ringkasan
Periksa isi permintaan, alamat, dan konteks. Tahan tindakan saat pesan mendesak, konfirmasi melalui jalur yang sudah diketahui, jangan pernah membagikan kode verifikasi, lalu laporkan pesan mencurigakan.
Kebiasaan yang paling sederhana adalah berhenti sejenak sebelum membuka tautan. Jika permintaan tampak penting, cari pemberitahuan yang sama dari situs atau aplikasi resmi.
Saat pesan memakai nama rekan kerja
Pesan dari alamat yang dikenal pun perlu dinilai berdasarkan permintaannya. Akun pengirim mungkin telah diambil alih, atau nama tampilan dapat dipalsukan. Bila pesan meminta transfer, dokumen sensitif, atau perubahan data pembayaran, konfirmasi melalui jalur lain yang sudah digunakan sebelumnya.
Jika tautan sudah dibuka tetapi belum memasukkan data, tutup halaman dan jangan unduh berkas. Jika kata sandi sudah dimasukkan, buka layanan dari alamat yang diketahui, ubah kata sandi, dan tinjau sesi perangkat. Bila kode verifikasi telah diberikan, hubungi penyedia akun melalui kanal resminya.
Laporkan pesan yang hampir menipu, bukan hanya kejadian yang menimbulkan kerugian. Ikuti prosedur organisasi dan jangan menyebarkan ulang lampiran berbahaya untuk memperingatkan orang lain. Gunakan fitur pelaporan atau kirim informasi aman seperti alamat pengirim dan waktu penerimaan. Bila rekan menerima pesan sama, beri tahu mereka melalui kanal internal yang terverifikasi.
